无法删除孤立搜索。

适用范围

描述

在Splunk GUI上会显示一条消息，说明对已删除的用户进行孤立搜索，但是，在转到Splunk Web中的“重新分配知识对象”后，在GUI消息中提到的用户下没有找到孤立搜索。

调查

检查$SPLUNK_HOME/etc/users/deleted.user/search/local/savedsearches.conf后，发现该文件为空。此时，由于未描述此场景，无法遵循文档。
 

分辨率

如何修复：
在deleted.user名称下搜索元数据，以确定孤立搜索的位置。

对于Linux:

find . -name '*.meta' | grep -iH <deleted.user>

Windows：

get-childitem C:\ -name -recurse *.meta*

通过搜索，应在包含孤立搜索的deleted.user所有权下找到savedsearches.conf文件。

更改所有权后，GUI消息将不再显示。